Комплаенс в сфере ИИ: управление системами ИИ и использование ИИ в работе по комплаенсу

Комплаенс в области ИИ означает две вещи: постоянную работу по обеспечению того, чтобы системы ИИ, которые ваша организация разрабатывает или использует, соответствовали применимым законам, стандартам и внутренним политикам, а также использование ИИ для рутинной масштабной работы по комплаенсу.

В этой статье рассматриваются оба значения: риски, которые устраняет комплаенс в области ИИ, основные рамочные документы, построение программы комплаенса, меры контроля для ИИ-агентов и задачи, в которых ИИ помогает специалистам по комплаенсу. В завершение приводятся вопросы, которые стоит задать перед покупкой инструмента для комплаенса.

Что такое комплаенс в области ИИ?

Под комплаенсом в области ИИ понимают две вещи: приведение систем ИИ в соответствие с правилами, установленными регулированием ИИ, и использование ИИ для работы по комплаенсу.

В первом значении комплаенс в области ИИ обеспечивает соблюдение системой ИИ законов, нормативных актов, этических стандартов и внутренних политик на протяжении всего жизненного цикла ИИ — от обучающих данных до производительности и использования.

Например, Местный закон № 144 города Нью-Йорка обязывает работодателей, использующих автоматизированный инструмент для принятия кадровых решений, проводить его аудит на предвзятость не ранее чем за год до использования, публиковать информацию об аудите и уведомлять сотрудников или кандидатов на вакансии.

Работа по обеспечению соответствия ИИ нормативным требованиям не прекращается, поскольку ИИ-приложения обновляются, данные, с которыми они работают, меняются, а регулирование развивается.

Во втором значении специалисты по комплаенсу используют ИИ для рутинной масштабной работы, такой как мониторинг транзакций, проверка документов и отслеживание изменений в регулировании.

Например, некоторые финансовые учреждения используют ИИ для проверки транзакций и сокращения числа ложных срабатываний в оповещениях системы мониторинга транзакций, прежде чем аналитики решат, по каким из них нужно подавать сообщение о подозрительной операции.

Комплаенс в области ИИ, управление ИИ и управление рисками ИИ: в чём разница

Эти три понятия пересекаются, но охватывают разные области: управление ИИ устанавливает правила, управление рисками выявляет возможные проблемы, а комплаенс обеспечивает соблюдение правил.

Почему комплаенс в области ИИ важен

Обеспечение комплаенса в области ИИ снижает риск штрафов, защищает конфиденциальность людей, чьи данные обрабатывает ваш ИИ, и позволяет организации отчитаться об использовании систем ИИ в случае аудита.

• Штрафы регуляторов: Согласно Закону ЕС об ИИ, использование запрещённой практики ИИ, например определения эмоций сотрудников на рабочем месте, может обойтись в сумму до 35 млн евро или 7% от мирового годового оборота. Поставщикам и эксплуатантам за нарушения Закона грозят штрафы до 15 млн евро или 3%.
• Защита данных: Система ИИ, обрабатывающая персональные данные, подпадает под действие законов о защите данных, таких как GDPR в ЕС. Это касается обучающих данных, промптов и результатов, содержащих персональные данные.
• Готовность к аудиту: Записи о том, какие системы ИИ вы используете, кто их одобрил и как вы их отслеживаете, позволяют отчитываться перед регуляторами, аудиторами и клиентами.

Основные риски, которые устраняет комплаенс в области ИИ

Комплаенс в области ИИ устраняет пять основных рисков: алгоритмическую предвзятость, отсутствие объяснимости, галлюцинации в регулируемых процессах, риски для конфиденциальности и утечки данных, а также теневой ИИ.

Развернуть

Ниже описано, как проявляются основные риски, и приведены примеры мер контроля, которые помогают их сдерживать:

• Алгоритмическая предвзятость: Модель воспроизводит закономерности из обучающих данных, которые ставят определённые группы в невыгодное положение. Например, инструмент для найма может понижать рейтинг кандидатов на основе косвенного признака возраста или этнической принадлежности, такого как год окончания учебного заведения или почтовый индекс. Выявить такие закономерности помогают аудиты на предвзятость, в ходе которых сравниваются результаты для разных демографических групп.
• Отсутствие объяснимости: Организация не может показать, как модель пришла к решению. Если кредитор не может объяснить, почему модель отказала в кредите, он не сможет обосновать это решение. Организации предотвращают эту проблему, документируя входные данные и логику принятия решений модели, а также выбирая модели с отслеживаемыми результатами.
• Галлюцинации в регулируемых процессах: Инструмент генеративного ИИ уверенно утверждает что-то ложное. Например, адвокат может попросить ИИ-инструмент подобрать судебную практику в поддержку аргумента и получить ссылки на несуществующие судебные решения. Такие ошибки можно выявить, если требовать указания источников для каждого результата и поручать их проверку квалифицированному специалисту.
• Конфиденциальность и утечка данных: Конфиденциальная информация или данные клиентов попадают в инструмент, который организация не контролирует. Например, сотрудник может вставить записи о клиентах в общедоступный ИИ-инструмент, который сохраняет вводимые данные для обучения будущих моделей. Снизить риск помогает использование только одобренных инструментов с договорными ограничениями на обучение моделей и хранение данных.
• Теневой ИИ: Сотрудники используют ИИ-инструменты, которые организация не одобрила или не видит. В опросе Compliance Week 2026 года 42% участников сообщили о неконтролируемом использовании ИИ сотрудниками. Среди возможных решений — список одобренных инструментов в сочетании с быстрым процессом одобрения ИИ-инструментов, а также веб-шлюзы.

Ключевые рамочные документы по комплаенсу в области ИИ

Комплаенс в области ИИ опирается на обязательные рамочные документы по управлению ИИ, такие как Закон ЕС об ИИ, и добровольные, такие как Рамочная программа NIST по управлению рисками ИИ и ISO/IEC 42001, которые помогают организациям выполнять обязательные требования.

Закон ЕС об ИИ

Закон ЕС об ИИ (Регламент (ЕС) 2024/1689) применяет к регулированию ИИ риск-ориентированный подход: некоторые практики полностью запрещены, к системам высокого риска предъявляются строгие ограничения, а для остальных действуют лишь мягкие правила прозрачности. Он распространяется на поставщиков и эксплуатантов в любой точке мира, «если результаты, генерируемые системой ИИ, используются в Союзе».

Обязательства по Закону ЕС об ИИ зависят от роли организации:

• Те, кто разрабатывает систему ИИ высокого риска или выводит её на рынок под своим именем (поставщики), должны пройти оценку соответствия, нанести маркировку CE, зарегистрировать систему, вести техническую документацию и отслеживать её работу после выпуска.
• Те, кто использует систему, созданную кем-то другим (эксплуатанты), должны следовать инструкциям поставщика, поручать надзор людям, обладающим «необходимой компетенцией, подготовкой и полномочиями», хранить журналы не менее шести месяцев и информировать работников и других лиц, затрагиваемых её решениями.

Развернуть

Закон вводится в действие поэтапно. Правила о запрещённых практиках, ИИ-грамотности и ИИ общего назначения действуют с 2025 года, обязательства в отношении систем высокого риска вступают в силу 2 декабря 2027 года, а для ИИ, встроенного в продукцию, на которую распространяется законодательство ЕС о безопасности продукции, — 2 августа 2028 года.

EN 18286:2026 о системах менеджмента качества — первый европейский стандарт, поддерживающий Закон. Поставщики, которые ему следуют, считаются выполнившими требование Закона о системе менеджмента качества.

Рамочная программа NIST по управлению рисками ИИ

NIST AI RMF (рамочная программа по управлению рисками), опубликованная в январе 2023 года, — это добровольный американский рамочный документ, построенный вокруг четырёх функций: Govern (руководство), Map (картирование), Measure (измерение) и Manage (управление).

Её Профиль генеративного ИИ, выпущенный в июле 2024 года, применяет эту рамочную программу к рискам генеративного ИИ.

ISO/IEC 42001

ISO/IEC 42001 — международный стандарт для систем менеджмента ИИ, охватывающий политики, роли и процессы, которые регулируют ответственную разработку и использование ИИ. Сертификация добровольная и проводится независимыми органами по сертификации, а не самой ISO.

Сертификат распространяется на систему менеджмента организации, а не на конкретный ИИ-продукт.

Нормы США и отраслевые правила, применимые к ИИ

В США нет единого федерального закона об ИИ. Правила устанавливаются на уровне городов и штатов, а также содержатся в действующих законах и нормативных актах, применимых к ИИ.

Например, закон Колорадо SB26-189, вступающий в силу 1 января 2027 года, регулирует технологии автоматизированного принятия решений, а законы о конфиденциальности, такие как Закон Калифорнии о защите конфиденциальности потребителей (CCPA) или HIPAA, применяются всякий раз, когда ИИ обрабатывает защищённые данные.

Как построить программу комплаенса в области ИИ

Построение программы комплаенса в области ИИ включает шесть шагов: инвентаризацию систем ИИ, их классификацию по уровню риска, сопоставление мер контроля с применимыми правилами, назначение ответственных, документирование каждой системы и мониторинг с ведением записей, которые может проверить аудитор.

Развернуть

Каждый из описанных ниже шагов завершается документом, который он формирует:

1. Проведите инвентаризацию всех систем ИИ. Составьте список систем, которые ваша организация разрабатывает, покупает или использует, включая ИИ-функции в существующем ПО и инструменты, которые сотрудники начали использовать без одобрения. Зафиксируйте, что делает каждая система, кто ей пользуется и с какими данными она работает.
   Результат: Реестр систем ИИ.
2. Классифицируйте каждый сценарий использования по уровню риска. Оцените каждую систему по вреду, который она может причинить, используя такую схему, как уровни риска Закона ЕС об ИИ. Например, инструмент, устанавливающий размер страховых премий по страхованию жизни, относится к системам высокого риска согласно Закону, а инструмент, составляющий сводки внутренних совещаний, — нет.
   Результат: Реестр рисков.
3. Сопоставьте меры контроля с применимыми правилами. Перечислите законы, стандарты и внутренние политики, применимые к каждой системе, а также меру контроля, которая обеспечивает выполнение каждого требования. Например, задокументированная проверка человеком помогает выполнить требования Закона ЕС об ИИ к человеческому надзору за системами высокого риска и рекомендацию NIST AI RMF о документированных процессах человеческого надзора.
   Результат: Карта мер контроля.
4. Назначьте ответственных и точки человеческого надзора. Назначьте ответственного за каждую систему и определите, на каком этапе человек проверяет её результаты. Например, юридический отдел и отдел комплаенса отвечают за обязательства, служба безопасности — за технические меры контроля, владельцы бизнес-направлений — за свои сценарии использования, а общую ответственность несёт один руководитель. Убедитесь, что сотрудники всей организации осведомлены, и наладьте чёткие каналы коммуникации.
   Результат: Назначенные ответственные за каждую систему.
5. Задокументируйте каждую систему. Зафиксируйте назначение каждой системы, обучающие данные, тестирование и известные ограничения в таких форматах, как карточки моделей и оценки воздействия. Поставщики систем высокого риска также должны подготовить техническую документацию согласно Приложению IV Закона ЕС об ИИ.
   Результат: Комплект документации по системе.
6. Ведите мониторинг и журналы, сохраняйте доказательства. С самого начала проектируйте журналы как доказательства для аудита, чтобы показать, что делала система и кто проверял её работу. Закон ЕС об ИИ требует, чтобы системы высокого риска автоматически регистрировали события на протяжении всего срока службы. Журнал аудита должен фиксировать:
   • Используемую модель и её версию
   • Входные и выходные данные или их определённую выборку
   • Данные для обучения или дообучения
   • Точки проверки человеком и их результаты
   • Действия, выполненные агентом, и использованные им разрешения
   • Срок хранения каждой записи

Результат: Записи мониторинга и журнал аудита.

Специализированные инструменты для комплаенса в области ИИ, такие как IBM watsonx.governance и OneTrust AI Governance, могут взять на себя часть этой программы, включая инвентаризацию систем ИИ, оценку рисков на соответствие Закону ЕС об ИИ и документирование.

Как одобрять ИИ-инструменты для сотрудников

Прежде чем одобрить ИИ-инструмент, проверьте четыре аспекта:

• Доступ к данным: К каким файлам, системам и подключённым базам знаний инструмент имеет доступ на чтение и содержат ли они персональные данные, которые он может раскрыть.
• Обучение на вводимых данных: Использует ли поставщик промпты, файлы или результаты для обучения своих моделей и запрещает ли это ваш договор с поставщиком.
• Хранение: Как долго поставщик хранит промпты, файлы и историю разговоров и можно ли сократить этот срок.
• Хостинг и передача данных: Где поставщик хранит и обрабатывает данные, включая передачу за пределы вашего региона.

Меры контроля комплаенса для ИИ-агентов

ИИ-агентам нужно больше мер контроля, чем чат-инструментам, поскольку они сами определяют свои шаги и действуют через предоставленные им инструменты и разрешения. Держать их под контролем помогают три меры:

• Доступ с минимальными привилегиями: Предоставляйте агенту только те инструменты и разрешения, которые нужны для его задачи. Согласно OWASP Top 10 for LLM Applications 2026, чрезмерная автономность (Excessive Agency), при которой агент может делать больше, чем требует его задача, — один из главных рисков безопасности.
• Журнал всех действий: Записывайте каждый вызов инструмента, полученные данные и использованные разрешения, чтобы отследить, что сделал агент и для кого.
• Одобрение человеком действий с серьёзными последствиями: Требуйте, чтобы человек подтверждал шаги, которые отправляют данные за пределы организации, перемещают денежные средства или необратимы.

Как ИИ используется в работе по комплаенсу

Команды по комплаенсу и управлению рисками используют ИИ для мониторинга мер контроля, оценки рисков, отслеживания изменений в регулировании, проверки документов и сортировки оповещений о финансовых преступлениях.

В опросе Compliance Week 2026 года среди 193 руководителей в сфере комплаенса, этики, управления рисками и аудита более 83% сообщили, что используют ИИ, а почти 40% — что их компании внедрили его для оценки и мониторинга рисков.

Распространённые сценарии использования ИИ в комплаенсе:

• Непрерывный мониторинг комплаенса и сбор доказательств: ИИ выполняет проверки и собирает доказательства того, что меры контроля работают (например, просроченные проверки безопасности оборудования на заводе).
• Оценка и приоритизация рисков: ИИ ранжирует бизнес-подразделения или третьи стороны по уровню риска (например, поставщиков с новыми санкционными или судебными рисками).
• Мониторинг изменений в регулировании: ИИ отслеживает публикации регуляторов и обобщает изменения (например, обновлённые рекомендации по борьбе со взяточничеством, снижающие лимит стоимости подарков в политике возмещения расходов).
• Проверка документов и политик: ИИ сверяет договоры и политики с требованиями (например, договоры с поставщиками без оговорки о праве на аудит).
• Проверка на предмет финансовых преступлений: ИИ сортирует оповещения системы мониторинга транзакций и проверки клиентов (например, совпадения имён в санкционных списках, которые на самом деле относятся к другому человеку).

ИИ, используемый для комплаенса, требует такого же управления, как и другие системы ИИ. Как заявило Управление по финансовому регулированию и надзору Великобритании в октябре 2026 года, «компании несут ответственность за разрабатываемые, приобретаемые и развёртываемые ими системы ИИ, включая их результаты и последствия», и предупредило, что проверка человеком не должна превращаться в «формальность „для галочки“».

На практике ИИ-инструменты могут выполнять рутинные задачи, такие как сбор доказательств или выявление изменений в регулировании, но не принимать решения, влекущие юридическую ответственность, — например, сообщать ли о подозрительной деятельности или как разрабатывать политики.

Управление данными в Perplexity Enterprise

Perplexity Enterprise предоставляет администраторам средства контроля, охватывающие обучение на вводимых данных, доступ к данным и их хранение:

• Никакого обучения на ваших данных: Perplexity никогда не использует корпоративный контент для обучения своих моделей ИИ, а соглашения со сторонними поставщиками моделей запрещают им обучать на нём свои модели.
• Контроль доступа: SSO, SCIM и ролевые разрешения определяют, кто может загружать файлы и делиться ответами.
• Хранение данных и журналы аудита: Файлы, прикреплённые к сеансам, удаляются через семь дней. Организации, у которых 50 или более мест либо хотя бы одно место Enterprise Max, также могут настраивать срок хранения сеансов и получать журналы аудита действий пользователей.
• Сертификация: Perplexity имеет сертификацию SOC 2 Type II, соответствует требованиям GDPR и допускает работу с защищённой медицинской информацией только при наличии подписанного соглашения с деловым партнёром (Business Associate Agreement).

Чтобы подробно ознакомиться с этими средствами контроля, свяжитесь с нашим отделом продаж и запишитесь на персональную демонстрацию.

Часто задаваемые вопросы

Что такое соответствие требованиям ЕС в сфере ИИ?

Соответствие требованиям ЕС в сфере ИИ означает выполнение обязательств, которые Закон ЕС об ИИ (EU AI Act) устанавливает для вашей роли (поставщик или эксплуатант) и для уровня риска каждой системы. Обязательства вступают в силу поэтапно: требования к системам высокого риска начинают действовать 2 декабря 2027 года.

Что такое ИИ, соответствующий требованиям HIPAA?

ИИ, соответствующий требованиям HIPAA, — это инструмент, который используется с соблюдением предусмотренных HIPAA мер защиты защищённой медицинской информации. Если поставщик хранит или обрабатывает эту информацию, Министерство здравоохранения и социальных служб США требует предварительно подписать соглашение с деловым партнёром (Business Associate Agreement).

Распространяется ли Закон ЕС об ИИ на американские компании?

Да. Закон об ИИ распространяется на американские компании, которые выводят системы ИИ на рынок ЕС, а также на компании, результаты работы ИИ которых используются в ЕС.

Может ли ИИ заменить специалистов по комплаенсу?

ИИ не может заменить специалистов по комплаенсу. Организации несут ответственность за свою работу, а технологии ИИ могут допускать ошибки, поэтому специалистам по комплаенсу по-прежнему необходимо тщательно проверять и утверждать результаты работы ИИ.